隱藏在Chrome開發工具中顯示的HTTP GET/POST請求

Question

我有一個在Angular JS和Webapi中開發的應用程序。我使用OWIN框架使用基於標記的身份驗證。該應用程序部署在一家軟件公司，很少有對此技術有所瞭解的開發人員使用Chrome開發人員工具並直接訪問API方法並繞過客戶端的驗證。有沒有辦法控制這個？

請查看chrome開發者工具顯示持票者令牌的屏幕截圖，Webapi方法&其有效載荷。

Answer 1

您無法真正隱藏瀏覽器上顯示的HTTP請求。你可以做的是控制誰獲取該訪問令牌，其到期時間以及他擁有的權限和聲明。

您不能從運行該瀏覽器的用戶隱藏瀏覽器的活動。

只有在使用正確的憑證成功登錄後才能生成令牌，並且可以使用開發人員工具中顯示的令牌從郵遞員等工具調用API，直到它過期（因此設置更短的到期時間）。

令牌使用用戶A的憑證生成的應該不具有操作用戶B的數據的權限，並且應該明確處理。

所以，一個選擇是用戶A可以竊取他自己的訪問令牌並使用它來操縱他自己的數據，除非令牌存活。